- FutureNet製品活用ガイド
- FutureNet NXR,VXRシリーズ
- GRE・IPinIP編
FutureNet
NXR,VXRシリーズ
GRE・IPinIP編
2. GRE・IPinIP応用設定
2-2. GREoverIPsec設定
GREだけでは通信内容を暗号化することはできませんが、IPsecを併用することでインターネット網を経由する場合でもよりセキュアな通信路を構築することができます。
【 構成図 】
- IPsecはPolicy Based IPsecの形式で設定します。
- GREのエンドポイントのIPアドレスに各ルータのLAN側IPアドレスを設定します。
(☞) これによりIPsec SA未確立時にGREパケットがルータから出力されることを防止します。
【 設定データ 】
〔NXR_Aの設定〕
| 設定項目 | 設定内容 | |||
|---|---|---|---|---|
| ホスト名 | NXR_A | |||
| LAN側インタフェース | ethernet0のIPアドレス | 192.168.10.1/24 | ||
| WAN側インタフェース | ethernet1のIPアドレス | 10.10.10.1/30 | ||
| IPマスカレード | 有効 | |||
| IPアクセスグループ | in | eth1_in | ||
| SPIフィルタ | 有効 | |||
| IPsecローカルポリシー | 1 | |||
| スタティックルート | No.1 | 宛先IPアドレス | 192.168.20.0/24 | |
| ゲートウェイ(インタフェース) | tunnel1 | |||
| No.2 | 宛先IPアドレス | 192.168.30.0/24 | ||
| ゲートウェイ(インタフェース) | tunnel2 | |||
| No.3 | 宛先IPアドレス | 0.0.0.0/0 | ||
| ゲートウェイ(IPアドレス) | 10.10.10.2 | |||
| IPフィルタ | ルール名 | eth1_in | ||
| eth1_in | No.1 | 動作 | 許可 | |
| 送信元IPアドレス | any | |||
| 宛先IPアドレス | 10.10.10.1 | |||
| プロトコル | UDP | |||
| 送信元ポート | 500 | |||
| 宛先ポート | 500 | |||
| No.2 | 動作 | 許可 | ||
| 送信元IPアドレス | any | |||
| 宛先IPアドレス | 10.10.10.1 | |||
| プロトコル | 50(ESP) | |||
| IPsec | IPsecアクセスリスト | No.1 | リスト名 | NXR_B |
| 送信元IPアドレス | 192.168.10.1/32 | |||
| 宛先IPアドレス | 192.168.20.1/32 | |||
| No.2 | リスト名 | NXR_C | ||
| 送信元IPアドレス | 192.168.10.1/32 | |||
| 宛先IPアドレス | 192.168.30.1/32 | |||
| IPsecローカルポリシー1 | address | ip | ||
| IPsec ISAKMPポリシー1 | 名前 | NXR_B | ||
| 認証方式 | pre-share | |||
| 認証鍵 | ipseckey1 | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| DHグループ | 5 | |||
| ライフタイム | 10800秒 | |||
| ISAKMPモード | メインモード | |||
| リモートアドレス | 10.10.20.1 | |||
| DPD | 再送間隔 | 30秒 | ||
| リトライ回数 | 3回 | |||
| 動作 | restart | |||
| ローカルポリシー | 1 | |||
| IPsecトンネルポリシー1 | 名前 | NXR_B | ||
| ネゴシエーションモード | オート | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| PFS | 有効(グループ5) | |||
| ライフタイム | 3600秒 | |||
| ISAKMPポリシー | 1 | |||
| IPsecアクセスリスト | NXR_B | |||
| IPsec ISAKMPポリシー2 | 名前 | NXR_C | ||
| 認証方式 | pre-share | |||
| 認証鍵 | ipseckey2 | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| DHグループ | 5 | |||
| ライフタイム | 10800秒 | |||
| ISAKMPモード | アグレッシブモード | |||
| リモートアドレス | any | |||
| リモートID(FQDN) | nxrc | |||
| DPD | 再送間隔 | 30秒 | ||
| リトライ回数 | 3回 | |||
| 動作 | clear | |||
| ローカルポリシー | 1 | |||
| IPsecトンネルポリシー2 | 名前 | NXR_C | ||
| ネゴシエーションモード | レスポンダ | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| PFS | 有効(グループ5) | |||
| ライフタイム | 3600秒 | |||
| ISAKMPポリシー | 2 | |||
| IPsecアクセスリスト | NXR_C | |||
| トンネル1インタフェース | トンネルモード | GRE | ||
| 名前 | NXR_B | |||
| 送信元IPアドレス | 192.168.10.1 | |||
| 宛先IPアドレス | 192.168.20.1 | |||
| TCP MSS自動調整 | オート | |||
| TTL | 255 | |||
| トンネル2インタフェース | トンネルモード | GRE | ||
| 名前 | NXR_C | |||
| 送信元IPアドレス | 192.168.10.1 | |||
| 宛先IPアドレス | 192.168.30.1 | |||
| TCP MSS自動調整 | オート | |||
| TTL | 255 | |||
| DNS | サービス | 有効 | ||
| DNSサーバ | プライマリ | 10.10.10.2 | ||
| FastFowarding | 有効 | |||
〔NXR_Bの設定〕
| 設定項目 | 設定内容 | |||
|---|---|---|---|---|
| ホスト名 | NXR_B | |||
| LAN側インタフェース | ethernet0のIPアドレス | 192.168.20.1/24 | ||
| WAN側インタフェース | PPPoEクライアント(ethernet1) | ppp0 | ||
| ppp0のIPアドレス | 10.10.20.1/32 | |||
| IPマスカレード | 有効 | |||
| IPアクセスグループ | in | ppp0_in | ||
| SPIフィルタ | 有効 | |||
| TCP MSS自動調整 | オート | |||
| ISP接続用ユーザID | test2@example.jp | |||
| ISP接続用パスワード | test2pass | |||
| IPsecローカルポリシー | 1 | |||
| スタティックルート | No.1 | 宛先IPアドレス | 192.168.10.0/24 | |
| ゲートウェイ(インタフェース) | tunnel1 | |||
| No.2 | 宛先IPアドレス | 0.0.0.0/0 | ||
| ゲートウェイ(インタフェース) | ppp0 | |||
| IPフィルタ | ルール名 | ppp0_in | ||
| ppp0_in | No.1 | 動作 | 許可 | |
| 送信元IPアドレス | 10.10.10.1 | |||
| 宛先IPアドレス | 10.10.20.1 | |||
| プロトコル | UDP | |||
| 送信元ポート | 500 | |||
| 宛先ポート | 500 | |||
| No.2 | 動作 | 許可 | ||
| 送信元IPアドレス | 10.10.10.1 | |||
| 宛先IPアドレス | 10.10.20.1 | |||
| プロトコル | 50(ESP) | |||
| IPsec | IPsecアクセスリスト | リスト名 | NXR_A | |
| 送信元IPアドレス | 192.168.20.1/32 | |||
| 宛先IPアドレス | 192.168.10.1/32 | |||
| IPsecローカルポリシー1 | address | ip | ||
| IPsec ISAKMPポリシー1 | 名前 | NXR_A | ||
| 認証方式 | pre-share | |||
| 認証鍵 | ipseckey1 | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| DHグループ | 5 | |||
| ライフタイム | 10800秒 | |||
| ISAKMPモード | メインモード | |||
| リモートアドレス | 10.10.10.1 | |||
| DPD | 再送間隔 | 30秒 | ||
| リトライ回数 | 3回 | |||
| 動作 | restart | |||
| ローカルポリシー | 1 | |||
| IPsecトンネルポリシー1 | 名前 | NXR_A | ||
| ネゴシエーションモード | オート | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| PFS | 有効(グループ5) | |||
| ライフタイム | 3600秒 | |||
| ISAKMPポリシー | 1 | |||
| IPsecアクセスリスト | NXR_A | |||
| トンネル1インタフェース | トンネルモード | GRE | ||
| 名前 | NXR_A | |||
| 送信元IPアドレス | 192.168.20.1 | |||
| 宛先IPアドレス | 192.168.10.1 | |||
| TCP MSS自動調整 | オート | |||
| TTL | 255 | |||
| DNS | サービス | 有効 | ||
| FastFowarding | 有効 | |||
〔NXR_Cの設定〕
| 設定項目 | 設定内容 | |||
|---|---|---|---|---|
| ホスト名 | NXR_C | |||
| LAN側インタフェース | ethernet0のIPアドレス | 192.168.30.1/24 | ||
| WAN側インタフェース | mobile1 | ppp0 | ||
| ppp0のIPアドレス | 動的IPアドレス | |||
| IPマスカレード | 有効 | |||
| IPアクセスグループ | in | ppp0_in | ||
| SPIフィルタ | 有効 | |||
| TCP MSS自動調整 | オート | |||
| PPP接続用ユーザID | ユーザID | |||
| PPP接続用パスワード | パスワード | |||
| APN | APN | |||
| CID | CID | |||
| PDPタイプ | PDPタイプ(IPまたはPPP) | |||
| 発信用電話番号 | *99***[CID]# | |||
| ダイアルタイムアウト | 30秒 | |||
| IPsecローカルポリシー | 1 | |||
| モバイルエラーリカバリー | リセット | |||
| モバイルターミネーションリカバリー | リセット | |||
| スタティックルート | No.1 | 宛先IPアドレス | 192.168.10.0/24 | |
| ゲートウェイ(インタフェース) | tunnel1 | |||
| No.2 | 宛先IPアドレス | 0.0.0.0/0 | ||
| ゲートウェイ(インタフェース) | ppp0 | |||
| IPフィルタ | ルール名 | ppp0_in | ||
| ppp0_in | No.1 | 動作 | 許可 | |
| 送信元IPアドレス | 10.10.10.1 | |||
| 宛先IPアドレス | any | |||
| プロトコル | UDP | |||
| 送信元ポート | 500 | |||
| 宛先ポート | 500 | |||
| No.2 | 動作 | 許可 | ||
| 送信元IPアドレス | 10.10.10.1 | |||
| 宛先IPアドレス | any | |||
| プロトコル | 50(ESP) | |||
| IPsec | IPsecアクセスリスト | リスト名 | NXR_A | |
| 送信元IPアドレス | 192.168.30.1/32 | |||
| 宛先IPアドレス | 192.168.10.1/32 | |||
| IPsecローカルポリシー1 | address | ip | ||
| セルフID(FQDN) | nxrc | |||
| IPsec ISAKMPポリシー1 | 名前 | NXR_A | ||
| 認証方式 | pre-share | |||
| 認証鍵 | ipseckey2 | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| DHグループ | 5 | |||
| ライフタイム | 10800秒 | |||
| ISAKMPモード | アグレッシブモード | |||
| リモートアドレス | 10.10.10.1 | |||
| DPD | 再送間隔 | 30秒 | ||
| リトライ回数 | 3回 | |||
| 動作 | restart | |||
| ローカルポリシー | 1 | |||
| IPsecトンネルポリシー1 | 名前 | NXR_A | ||
| ネゴシエーションモード | オート | |||
| 認証アルゴリズム | sha256 | |||
| 暗号化アルゴリズム | aes128 | |||
| PFS | 有効(グループ5) | |||
| ライフタイム | 3600秒 | |||
| ISAKMPポリシー | 1 | |||
| IPsecアクセスリスト | NXR_A | |||
| トンネル1インタフェース | トンネルモード | GRE | ||
| 名前 | NXR_A | |||
| 送信元IPアドレス | 192.168.30.1 | |||
| 宛先IPアドレス | 192.168.10.1 | |||
| TCP MSS自動調整 | オート | |||
| TTL | 255 | |||
| DNS | サービス | 有効 | ||
【 設定例 】
〔NXR_Aの設定〕
Enter configuration commands, one per line. End with CNTL/Z.
nxr230(config)#hostname NXR_A
NXR_A(config)#interface ethernet 0
NXR_A(config-if)#ip address 192.168.10.1/24
NXR_A(config-if)#exit
NXR_A(config)#ip route 192.168.20.0/24 tunnel 1
NXR_A(config)#ip route 192.168.30.0/24 tunnel 2
NXR_A(config)#ip route 0.0.0.0/0 10.10.10.2
NXR_A(config)#ip access-list eth1_in permit any 10.10.10.1 udp 500 500
NXR_A(config)#ip access-list eth1_in permit any 10.10.10.1 50
NXR_A(config)#ipsec access-list NXR_B ip 192.168.10.1/32 192.168.20.1/32
NXR_A(config)#ipsec access-list NXR_C ip 192.168.10.1/32 192.168.30.1/32
NXR_A(config)#ipsec local policy 1
NXR_A(config-ipsec-local)#address ip
NXR_A(config-ipsec-local)#exit
NXR_A(config)#ipsec isakmp policy 1
NXR_A(config-ipsec-isakmp)#description NXR_B
NXR_A(config-ipsec-isakmp)#authentication pre-share ipseckey1
NXR_A(config-ipsec-isakmp)#hash sha256
NXR_A(config-ipsec-isakmp)#encryption aes128
NXR_A(config-ipsec-isakmp)#group 5
NXR_A(config-ipsec-isakmp)#lifetime 10800
NXR_A(config-ipsec-isakmp)#isakmp-mode main
NXR_A(config-ipsec-isakmp)#remote address ip 10.10.20.1
NXR_A(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_A(config-ipsec-isakmp)#local policy 1
NXR_A(config-ipsec-isakmp)#exit
NXR_A(config)#ipsec tunnel policy 1
NXR_A(config-ipsec-tunnel)#description NXR_B
NXR_A(config-ipsec-tunnel)#negotiation-mode auto
NXR_A(config-ipsec-tunnel)#set transform esp-aes128 esp-sha256-hmac
NXR_A(config-ipsec-tunnel)#set pfs group5
NXR_A(config-ipsec-tunnel)#set sa lifetime 3600
NXR_A(config-ipsec-tunnel)#set key-exchange isakmp 1
NXR_A(config-ipsec-tunnel)#match address NXR_B
NXR_A(config-ipsec-tunnel)#exit
NXR_A(config)#ipsec isakmp policy 2
NXR_A(config-ipsec-isakmp)#description NXR_C
NXR_A(config-ipsec-isakmp)#authentication pre-share ipseckey2
NXR_A(config-ipsec-isakmp)#hash sha256
NXR_A(config-ipsec-isakmp)#encryption aes128
NXR_A(config-ipsec-isakmp)#group 5
NXR_A(config-ipsec-isakmp)#lifetime 10800
NXR_A(config-ipsec-isakmp)#isakmp-mode aggressive
NXR_A(config-ipsec-isakmp)#remote address ip any
NXR_A(config-ipsec-isakmp)#remote identity fqdn nxrc
NXR_A(config-ipsec-isakmp)#keepalive 30 3 periodic clear
NXR_A(config-ipsec-isakmp)#local policy 1
NXR_A(config-ipsec-isakmp)#exit
NXR_A(config)#ipsec tunnel policy 2
NXR_A(config-ipsec-tunnel)#description NXR_C
NXR_A(config-ipsec-tunnel)#negotiation-mode responder
NXR_A(config-ipsec-tunnel)#set transform esp-aes128 esp-sha256-hmac
NXR_A(config-ipsec-tunnel)#set pfs group5
NXR_A(config-ipsec-tunnel)#set sa lifetime 3600
NXR_A(config-ipsec-tunnel)#set key-exchange isakmp 2
NXR_A(config-ipsec-tunnel)#match address NXR_C
NXR_A(config-ipsec-tunnel)#exit
NXR_A(config)#interface tunnel 1
NXR_A(config-tunnel)#tunnel mode gre
NXR_A(config-tunnel)#description NXR_B
NXR_A(config-tunnel)#tunnel source 192.168.10.1
NXR_A(config-tunnel)#tunnel destination 192.168.20.1
NXR_A(config-tunnel)#ip tcp adjust-mss auto
NXR_A(config-tunnel)#tunnel ttl 255
NXR_A(config-tunnel)#exit
NXR_A(config)#interface tunnel 2
NXR_A(config-tunnel)#tunnel mode gre
NXR_A(config-tunnel)#description NXR_C
NXR_A(config-tunnel)#tunnel source 192.168.10.1
NXR_A(config-tunnel)#tunnel destination 192.168.30.1
NXR_A(config-tunnel)#ip tcp adjust-mss auto
NXR_A(config-tunnel)#tunnel ttl 255
NXR_A(config-tunnel)#exit
NXR_A(config)#interface ethernet 1
NXR_A(config-if)#ip address 10.10.10.1/30
NXR_A(config-if)#ip masquerade
NXR_A(config-if)#ip access-group in eth1_in
NXR_A(config-if)#ip spi-filter
NXR_A(config-if)#ipsec policy 1
NXR_A(config-if)#exit
NXR_A(config)#dns
NXR_A(config-dns)#service enable
NXR_A(config-dns)#address 10.10.10.2
NXR_A(config-dns)#exit
NXR_A(config)#fast-forwarding enable
NXR_A(config)#exit
NXR_A#save config
〔NXR_Bの設定〕
Enter configuration commands, one per line. End with CNTL/Z.
nxrg100(config)#hostname NXR_B
NXR_B(config)#interface ethernet 0
NXR_B(config-if)#ip address 192.168.20.1/24
NXR_B(config-if)#exit
NXR_B(config)#ip route 192.168.10.0/24 tunnel 1
NXR_B(config)#ip route 0.0.0.0/0 ppp 0
NXR_B(config)#ip access-list ppp0_in permit 10.10.10.1 10.10.20.1 udp 500 500
NXR_B(config)#ip access-list ppp0_in permit 10.10.10.1 10.10.20.1 50
NXR_B(config)#ipsec access-list NXR_A ip 192.168.20.1/32 192.168.10.1/32
NXR_B(config)#ipsec local policy 1
NXR_B(config-ipsec-local)#address ip
NXR_B(config-ipsec-local)#exit
NXR_B(config)#ipsec isakmp policy 1
NXR_B(config-ipsec-isakmp)#description NXR_A
NXR_B(config-ipsec-isakmp)#authentication pre-share ipseckey1
NXR_B(config-ipsec-isakmp)#hash sha256
NXR_B(config-ipsec-isakmp)#encryption aes128
NXR_B(config-ipsec-isakmp)#group 5
NXR_B(config-ipsec-isakmp)#lifetime 10800
NXR_B(config-ipsec-isakmp)#isakmp-mode main
NXR_B(config-ipsec-isakmp)#remote address ip 10.10.10.1
NXR_B(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_B(config-ipsec-isakmp)#local policy 1
NXR_B(config-ipsec-isakmp)#exit
NXR_B(config)#ipsec tunnel policy 1
NXR_B(config-ipsec-tunnel)#description NXR_A
NXR_B(config-ipsec-tunnel)#negotiation-mode auto
NXR_B(config-ipsec-tunnel)#set transform esp-aes128 esp-sha256-hmac
NXR_B(config-ipsec-tunnel)#set pfs group5
NXR_B(config-ipsec-tunnel)#set sa lifetime 3600
NXR_B(config-ipsec-tunnel)#set key-exchange isakmp 1
NXR_B(config-ipsec-tunnel)#match address NXR_A
NXR_B(config-ipsec-tunnel)#exit
NXR_B(config)#interface tunnel 1
NXR_B(config-tunnel)#tunnel mode gre
NXR_B(config-tunnel)#description NXR_A
NXR_B(config-tunnel)#tunnel source 192.168.20.1
NXR_B(config-tunnel)#tunnel destination 192.168.10.1
NXR_B(config-tunnel)#ip tcp adjust-mss auto
NXR_B(config-tunnel)#tunnel ttl 255
NXR_B(config-tunnel)#exit
NXR_B(config)#ppp account username test2@example.jp password test2pass
NXR_B(config)#interface ppp 0
NXR_B(config-ppp)#ip address 10.10.20.1/32
NXR_B(config-ppp)#ip masquerade
NXR_B(config-ppp)#ip access-group in ppp0_in
NXR_B(config-ppp)#ip spi-filter
NXR_B(config-ppp)#ip tcp adjust-mss auto
NXR_B(config-ppp)#ppp username test2@example.jp
NXR_B(config-ppp)#ipsec policy 1
NXR_B(config-ppp)#exit
NXR_B(config)#interface ethernet 1
NXR_B(config-if)#no ip address
NXR_B(config-if)#pppoe-client ppp 0
NXR_B(config-if)#exit
NXR_B(config)#dns
NXR_B(config-dns)#service enable
NXR_B(config-dns)#exit
NXR_B(config)#fast-forwarding enable
NXR_B(config)#exit
NXR_B#save config
〔NXR_Cの設定〕
Enter configuration commands, one per line. End with CNTL/Z.
nxrg100(config)#hostname NXR_C
NXR_C(config)#interface ethernet 0
NXR_C(config-if)#ip address 192.168.30.1/24
NXR_C(config-if)#exit
NXR_C(config)#ip route 192.168.10.0/24 tunnel 1
NXR_C(config)#ip route 0.0.0.0/0 ppp 0
NXR_C(config)#ip access-list ppp0_in permit 10.10.10.1 any udp 500 500
NXR_C(config)#ip access-list ppp0_in permit 10.10.10.1 any 50
NXR_C(config)#ipsec access-list NXR_A ip 192.168.30.1/32 192.168.10.1/32
NXR_C(config)#ipsec local policy 1
NXR_C(config-ipsec-local)#address ip
NXR_C(config-ipsec-local)#self-identity fqdn nxrc
NXR_C(config-ipsec-local)#exit
NXR_C(config)#ipsec isakmp policy 1
NXR_C(config-ipsec-isakmp)#description NXR_A
NXR_C(config-ipsec-isakmp)#authentication pre-share ipseckey2
NXR_C(config-ipsec-isakmp)#hash sha256
NXR_C(config-ipsec-isakmp)#encryption aes128
NXR_C(config-ipsec-isakmp)#group 5
NXR_C(config-ipsec-isakmp)#lifetime 10800
NXR_C(config-ipsec-isakmp)#isakmp-mode aggressive
NXR_C(config-ipsec-isakmp)#remote address ip 10.10.10.1
NXR_C(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_C(config-ipsec-isakmp)#local policy 1
NXR_C(config-ipsec-isakmp)#exit
NXR_C(config)#ipsec tunnel policy 1
NXR_C(config-ipsec-tunnel)#description NXR_A
NXR_C(config-ipsec-tunnel)#negotiation-mode auto
NXR_C(config-ipsec-tunnel)#set transform esp-aes128 esp-sha256-hmac
NXR_C(config-ipsec-tunnel)#set pfs group5
NXR_C(config-ipsec-tunnel)#set sa lifetime 3600
NXR_C(config-ipsec-tunnel)#set key-exchange isakmp 1
NXR_C(config-ipsec-tunnel)#match address NXR_A
NXR_C(config-ipsec-tunnel)#exit
NXR_C(config)#interface tunnel 1
NXR_C(config-tunnel)#tunnel mode gre
NXR_C(config-tunnel)#description NXR_A
NXR_C(config-tunnel)#tunnel source 192.168.30.1
NXR_C(config-tunnel)#tunnel destination 192.168.10.1
NXR_C(config-tunnel)#ip tcp adjust-mss auto
NXR_C(config-tunnel)#tunnel ttl 255
NXR_C(config-tunnel)#exit
NXR_C(config)#ppp account username [ユーザID] password [パスワード]
NXR_C(config)#interface ppp 0
NXR_C(config-ppp)#ip address negotiated
NXR_C(config-ppp)#ip masquerade
NXR_C(config-ppp)#ip access-group in ppp0_in
NXR_C(config-ppp)#ip spi-filter
NXR_C(config-ppp)#ip tcp adjust-mss auto
NXR_C(config-ppp)#ppp username [ユーザID]
NXR_C(config-ppp)#mobile apn [APN] cid [CID] pdp-type [PDPタイプ]
NXR_C(config-ppp)#dial-up string *99***[CID]#
NXR_C(config-ppp)#dial-up timeout 30
NXR_C(config-ppp)#ipsec policy 1
NXR_C(config-ppp)#exit
NXR_C(config)#mobile error-recovery-reset
NXR_C(config)#mobile termination-recovery reset
NXR_C(config)#mobile 1 ppp 0
NXR_C(config)#dns
NXR_C(config-dns)#service enable
NXR_C(config-dns)#exit
NXR_C(config)#exit
NXR_C#save config
【 設定例解説 】
〔NXR_Aの設定〕
1. <ホスト名の設定>
ホスト名を設定します。
2. <LAN側(ethernet0)インタフェース設定>
NXR_A(config-if)#ip address 192.168.10.1/24
ethernet0インタフェースのIPアドレスを設定します。
3. <スタティックルート設定>
LAN_B向けのルートを設定します。
LAN_C向けのルートを設定します。
デフォルトルートを設定します。
4. <IPアクセスリスト設定>
NXR_A(config)#ip access-list eth1_in permit any 10.10.10.1 50
IPアクセスリスト名をeth1_inとし、WAN側IPアドレス10.10.10.1宛のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。
なおこのIPアクセスリスト設定はethernet1インタフェース設定で登録します。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。
5. <IPsecアクセスリスト設定>
NXR_Bという名前のIPsecアクセスリストを設定します。
なお送信元IPアドレスはルータNXR_AのLAN側IPアドレス,宛先IPアドレスはルータNXR_BのLAN側IPアドレスとします。
NXR_Cという名前のIPsecアクセスリストを設定します。
なお送信元IPアドレスはルータNXR_AのLAN側IPアドレス,宛先IPアドレスはルータNXR_CのLAN側IPアドレスとします。
6. <IPsecローカルポリシー設定>
NXR_A(config-ipsec-local)#address ip
IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。
7. <IPsec ISAKMPポリシー1設定>
NXR_A(config-ipsec-isakmp)#description NXR_B
NXR_A(config-ipsec-isakmp)#authentication pre-share ipseckey1
ISAKMPポリシーの説明としてNXR_B、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。なお事前共有鍵はルータNXR_BのIPsec ISAKMPポリシーと共通の値を設定します。
NXR_A(config-ipsec-isakmp)#encryption aes128
NXR_A(config-ipsec-isakmp)#group 5
NXR_A(config-ipsec-isakmp)#lifetime 10800
NXR_A(config-ipsec-isakmp)#isakmp-mode main
認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。
NXR_A(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_A(config-ipsec-isakmp)#local policy 1
リモートアドレスにルータNXR_BのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。
8. <IPsecトンネルポリシー1設定>
NXR_A(config-ipsec-tunnel)#description NXR_B
NXR_A(config-ipsec-tunnel)#negotiation-mode auto
IPsecトンネルポリシーの説明としてNXR_B、ネゴシエーションモードとしてautoを設定します。
NXR_A(config-ipsec-tunnel)#set pfs group5
NXR_A(config-ipsec-tunnel)#set sa lifetime 3600
暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。
NXR_A(config-ipsec-tunnel)#match address NXR_B
ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Bを設定します。
9. <IPsec ISAKMPポリシー2設定>
NXR_A(config-ipsec-isakmp)#description NXR_C
NXR_A(config-ipsec-isakmp)#authentication pre-share ipseckey2
ISAKMPポリシーの説明としてNXR_C、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。なお事前共有鍵はルータNXR_CのIPsec ISAKMPポリシーと共通の値を設定します。
NXR_A(config-ipsec-isakmp)#encryption aes128
NXR_A(config-ipsec-isakmp)#group 5
NXR_A(config-ipsec-isakmp)#lifetime 10800
NXR_A(config-ipsec-isakmp)#isakmp-mode aggressive
認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。
NXR_A(config-ipsec-isakmp)#remote identity fqdn nxrc
NXR_A(config-ipsec-isakmp)#keepalive 30 3 periodic clear
NXR_A(config-ipsec-isakmp)#local policy 1
ルータNXR_CのWAN側IPアドレスが動的IPアドレスのため、リモートアドレスにanyを設定します。またリモートIDをFQDN方式でnxrcとし、ルータNXR_CのセルフIDと同じIDを設定します。そしてIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除するように設定します。さらにIPsecローカルポリシー1と関連づけを行います。]
10. <IPsecトンネルポリシー2設定>
NXR_A(config-ipsec-tunnel)#description NXR_C
NXR_A(config-ipsec-tunnel)#negotiation-mode responder
IPsecトンネルポリシーの説明としてNXR_C、ネゴシエーションモードとしてresponderを設定します。
NXR_A(config-ipsec-tunnel)#set pfs group5
NXR_A(config-ipsec-tunnel)#set sa lifetime 3600
暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。
NXR_A(config-ipsec-tunnel)#match address NXR_C
ISAKMPポリシー2と関連づけを行い、IPsecアクセスリストNXR_Cを設定します。
11. <トンネル1インタフェース設定>
NXR_A(config-tunnel)#tunnel mode gre
NXR_A(config-tunnel)#description NXR_B
トンネル1インタフェースで使用するトンネルモードを設定します。またトンネルインタフェースの説明としてNXR_Bを設定します。
(☞) トンネルインタフェースをGREで使用する場合はgreを設定します。
NXR_A(config-tunnel)#tunnel destination 192.168.20.1
トンネルの送信元,宛先IPアドレスを設定します。
NXR_A(config-tunnel)#tunnel ttl 255
TCP MSSの調整機能をオートに設定します。またTTL値を設定します。
12. <トンネル2インタフェース設定>
NXR_A(config-tunnel)#tunnel mode gre
NXR_A(config-tunnel)#description NXR_C
トンネル2インタフェースで使用するトンネルモードをgreに設定します。またトンネルインタフェースの説明としてNXR_Cを設定します。
NXR_A(config-tunnel)#tunnel destination 192.168.30.1
トンネルの送信元,宛先IPアドレスを設定します。
NXR_A(config-tunnel)#tunnel ttl 255
TCP MSSの調整機能をオートに設定します。またTTL値を設定します。
13. <WAN側(ethernet1)インタフェース設定>
NXR_A(config-if)#ip address 10.10.10.1/30
ethernet1インタフェースのIPアドレスを設定します。
NXR_A(config-if)#ip access-group in eth1_in
NXR_A(config-if)#ip spi-filter
IPマスカレード、ステートフルパケットインスペクションを有効に設定します。またIPアクセスリストeth1_inをinフィルタに適用します。
IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。
14. <DNS設定>
NXR_A(config-dns)#service enable
NXR_A(config-dns)#address 10.10.10.2
DNSサービスを有効にします。またプライマリDNSサーバアドレスを設定します。
15. <ファストフォワーディングの有効化>
ファストフォワーディングを有効にします。ファストフォワーディングを設定することによりパケット転送の高速化を行うことができます。
(☞) ファストフォワーディングの詳細および利用時の制約については、NXR,WXRシリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。
〔NXR_Bの設定〕
1. <ホスト名の設定>
ホスト名を設定します。
2. <LAN側(ethernet0)インタフェース設定>
NXR_B(config-if)#ip address 192.168.20.1/24
ethernet0インタフェースのIPアドレスを設定します。
3. <スタティックルート設定>
LAN_A向けのルートを設定します。
デフォルトルートを設定します。
4. <IPアクセスリスト設定>
NXR_B(config)#ip access-list ppp0_in permit 10.10.10.1 10.10.20.1 50
IPアクセスリスト名をppp0_inとし、送信元がルータNXR_AのWAN側IPアドレス10.10.10.1、宛先IPアドレスが10.10.20.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。なおこのIPアクセスリスト設定はppp0インタフェース設定で登録します。
5. <IPsecアクセスリスト設定>
NXR_Aという名前のIPsecアクセスリストを設定します。
なお送信元IPアドレスはルータNXR_BのLAN側IPアドレス,宛先IPアドレスはルータNXR_AのLAN側IPアドレスとします。
6. <IPsecローカルポリシー設定>
NXR_B(config-ipsec-local)#address ip
IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。
7. <IPsec ISAKMPポリシー設定>
NXR_B(config-ipsec-isakmp)#description NXR_A
NXR_B(config-ipsec-isakmp)#authentication pre-share ipseckey1
ISAKMPポリシーの説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。なお事前共有鍵はルータNXR_AのIPsec ISAKMPポリシー1と共通の値を設定します。
NXR_B(config-ipsec-isakmp)#encryption aes128
NXR_B(config-ipsec-isakmp)#group 5
NXR_B(config-ipsec-isakmp)#lifetime 10800
NXR_B(config-ipsec-isakmp)#isakmp-mode main
認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。
NXR_B(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_B(config-ipsec-isakmp)#local policy 1
リモートアドレスにルータNXR_AのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。
8. <IPsecトンネルポリシー設定>
NXR_B(config-ipsec-tunnel)#description NXR_A
NXR_B(config-ipsec-tunnel)#negotiation-mode auto
IPsecトンネルポリシーの説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。
NXR_B(config-ipsec-tunnel)#set pfs group5
NXR_B(config-ipsec-tunnel)#set sa lifetime 3600
暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。
NXR_B(config-ipsec-tunnel)#match address NXR_A
ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。
9. <トンネル1インタフェース設定>
NXR_B(config-tunnel)#tunnel mode gre
NXR_B(config-tunnel)#description NXR_A
トンネル1インタフェースで使用するトンネルモードを設定します。またトンネルインタフェースの説明としてNXR_Aを設定します。
(☞) トンネルインタフェースをGREで使用する場合はgreを設定します。
NXR_B(config-tunnel)#tunnel destination 192.168.10.1
トンネルの送信元,宛先IPアドレスを設定します。
NXR_B(config-tunnel)#tunnel ttl 255
TCP MSSの調整機能をオートに設定します。またTTL値を設定します。
10. <PPPアカウント設定>
ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。
11. <WAN側(ppp0)インタフェース設定>
NXR_B(config-ppp)#ip address 10.10.20.1/32
ppp0インタフェースのIPアドレスを設定します。
NXR_B(config-ppp)#ip access-group in ppp0_in
NXR_B(config-ppp)#ip spi-filter
NXR_B(config-ppp)#ip tcp adjust-mss auto
IPマスカレード、ステートフルパケットインスペクションを有効に設定します。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。
NXR_B(config-ppp)#ipsec policy 1
ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。
12. <ethernet1インタフェース設定>
NXR_B(config-if)#no ip address
NXR_B(config-if)#pppoe-client ppp 0
PPPoEクライアントとしてppp0インタフェースを使用できるように設定します。
13. <DNS設定>
NXR_B(config-dns)#service enable
DNSサービスを有効にします。
14. <ファストフォワーディングの有効化>
ファストフォワーディングを有効にします。
〔NXR_Cの設定〕
1. <ホスト名の設定>
ホスト名を設定します。
2. <LAN側(ethernet0)インタフェース設定>
NXR_C(config-if)#ip address 192.168.30.1/24
ethernet0インタフェースのIPアドレスを設定します。
3. <スタティックルート設定>
LAN_A向けのルートを設定します。
デフォルトルートを設定します。
4. <IPアクセスリスト設定>
NXR_C(config)#ip access-list ppp0_in permit 10.10.10.1 any 50
IPアクセスリスト名をppp0_inとし、送信元がルータNXR_AのWAN側IPアドレス10.10.10.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。なおこのIPアクセスリスト設定はppp0インタフェース設定で登録します。
5. <IPsecアクセスリスト設定>
NXR_Aという名前のIPsecアクセスリストを設定します。
なお送信元IPアドレスはルータNXR_CのLAN側IPアドレス,宛先IPアドレスはルータNXR_AのLAN側IPアドレスとします。
6. <IPsecローカルポリシー設定>
NXR_C(config-ipsec-local)#address ip
NXR_C(config-ipsec-local)#self-identity fqdn nxrc
IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。またセルフIDをFQDN方式でnxrcとし、ルータNXR_AのIPsec ISAKMPポリシー2のリモートIDと同じIDを設定します。
7. <IPsec ISAKMPポリシー設定>
NXR_C(config-ipsec-isakmp)#description NXR_A
NXR_C(config-ipsec-isakmp)#authentication pre-share ipseckey2
ISAKMPポリシーの説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。なお事前共有鍵はルータNXR_AのIPsec ISAKMPポリシー2と共通の値を設定します。
NXR_C(config-ipsec-isakmp)#encryption aes128
NXR_C(config-ipsec-isakmp)#group 5
NXR_C(config-ipsec-isakmp)#lifetime 10800
NXR_C(config-ipsec-isakmp)#isakmp-mode aggressive
認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。
NXR_C(config-ipsec-isakmp)#keepalive 30 3 periodic restart
NXR_C(config-ipsec-isakmp)#local policy 1
リモートアドレスにルータNXR_AのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。
8. <IPsec トンネルポリシー設定>
NXR_C(config-ipsec-tunnel)#description NXR_A
NXR_C(config-ipsec-tunnel)#negotiation-mode auto
IPsecトンネルポリシーの説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。
NXR_C(config-ipsec-tunnel)#set pfs group5
NXR_C(config-ipsec-tunnel)#set sa lifetime 3600
暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。
NXR_C(config-ipsec-tunnel)#match address NXR_A
ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。
9. <トンネル1インタフェース設定>
NXR_C(config-tunnel)#tunnel mode gre
NXR_C(config-tunnel)#description NXR_A
トンネル1インタフェースで使用するトンネルモードを設定します。またトンネルインタフェースの説明としてNXR_Aを設定します。
(☞) トンネルインタフェースをGREで使用する場合はgreを設定します。
NXR_C(config-tunnel)#tunnel destination 192.168.10.1
トンネルの送信元,宛先IPアドレスを設定します。
NXR_C(config-tunnel)#tunnel ttl 255
TCP MSSの調整機能をオートに設定します。またTTL値を設定します。
10. <PPPアカウント設定>
ppp0インタフェースで使用するPPP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。
11. <WAN側(ppp0)インタフェース設定>
NXR_C(config-ppp)#ip address negotiated
ppp0インタフェースのIPアドレスが動的IPアドレスのためnegotiatedを設定します。
NXR_C(config-ppp)#ip access-group in ppp0_in
NXR_C(config-ppp)#ip spi-filter
NXR_C(config-ppp)#ip tcp adjust-mss auto
IPマスカレード、ステートフルパケットインスペクションを有効に設定します。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。
NXR_C(config-ppp)#mobile apn [APN] cid [CID] pdp-type [PDPタイプ]
PPP接続用ユーザIDを設定します。またAPN,CID,PDPタイプを設定します。
NXR_C(config-ppp)#dial-up timeout 30
発信用の電話番号およびダイアルタイムアウトを設定します。
(☞) ここで設定する電話番号はSIMカードの電話番号ではありません。
IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。
12. <モバイルエラーリカバリー設定>
通信モジュールとの通信に重大な問題が発生する可能性が高いと判断した場合、通信モジュールのリセットを行うように設定します。
13. <モバイルターミネーションリカバリー設定>
PPP接続時に網側から切断された場合、通信モジュールのリセットを行うように設定します。
14. <モバイル割り当て設定>
mobile1と認識されている通信モジュールとppp0インタフェースの関連づけを行います。通信モジュールをPPPインタフェースで使用する場合は、mobileコマンドによるPPPインタフェースへの関連付けが必要になります。
15. <DNS設定>
NXR_C(config-dns)#service enable
DNSサービスを有効にします。
【 端末の設定例 】
| LAN_Aの端末 | LAN_Bの端末 | LAN_Cの端末 | |
| IPアドレス | 192.168.10.100 | 192.168.20.100 | 192.168.30.100 |
| サブネットマスク | 255.255.255.0 | ||
| デフォルトゲートウェイ | 192.168.10.1 | 192.168.20.1 | 192.168.30.1 |
| DNSサーバ | |||
目次
更新情報
→ 一覧へカテゴリ
タグ
- CRG
- DDNS
- DHCP
- DNAT
- DNSインターセプト
- Ethernet
- IIJモバイル
- IKE Modeconfig
- IKEv2 Configuration Payload
- IPinIP
- IPoE
- IPv6
- KDDI
- L2TPv3
- MAP-E
- NGN
- NTTドコモ
- PBR
- Policy Based IPsec
- PPP
- PPPoE
- QoS
- RADIUS連携
- RAシリーズ
- Route Based IPsec
- SMS
- SNAT
- SoftBank
- UPnP
- URL転送
- VLAN
- VRRP
- Web認証
- WiMAX
- コンフィグロールバック
- ネットイベント
- フィルタ
- ブリッジ
- モニタログ
- ワイモバイル
- 仮想スイッチ
- 冗長化
- 無線LAN